はじめに 筆者は10年以上ウェブアプリケーション開発を主な業務とするJavaプログラマであったにも関わらず、Strutsについてはこれまでずっと食わず嫌いでした。初期のStrutsは「XMLだらけで効率が悪そう」というイメージが強かったためです。最近はRuby on Rails等の影響を受けCoC(convention over configuration)を採り入れ、XML地獄もだいぶ解消したようです。 StrutsはJavaアプリケーションらしくない種類（任意のコード実行等）の脆弱性を連発することでも知られており、最近は我々の提供するSaaS型WAFサービス、Scutum(スキュータム)のお客様からも頻繁にStrutsについての問い合わせを受けるようになりました。また、去年見つかった任意のコード実行の脆弱性では、脆弱性の公表後すぐにPoCが出回り実際に攻撃が発生するなど、悪い意味で注目

Struts2においてクラスローダーの操作を許してしまう脆弱性(CVE-2014-0094)について先日調べたのですが、その後のセキュリティベンダの調査により当初に比べて影響範囲が変わってきていることから、再度整理をかねてまとめます。尚、これら情報はpiyokangoが全て検証したわけではないためご注意ください。また当然ながら悪用することは厳禁です。 Apache Software Foundationより、当該脆弱性情報に関するアナウンスが出ました。 24 April 2014 - Struts up to 2.3.16.1: Zero-Day Exploit Mitigation S2-021 クラスローダーが操作される脆弱性の影響範囲 NTT-CERTやMBSD、LACの調査により次のStrutsのバージョンが影響を受けることが判明しています。またBeanUtilsを使ってリクエスト

Struts2に見つかった脆弱性と同様の脆弱性がStruts1系にも見つかりました。 Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 HTTP(S)のリクエストでJavaのClassLoaderのメソッドが呼び出せてしまうという脆弱性です。 もう少し噛み砕いて言えば、リクエストのパラメータをJavaBeansにセットする時に、リフレクションを使い、パラメータ名にaaa.bbb.cccのようなネストした名前をサポートしているフレームワークは同様の問題が起こる可能性があります。 パラメータ名をclass.classLoader.xxxのような感じにして、ClassLoaderのメソッドを呼び出す訳です。 このような問題を起こすリフレクションフレームワークで最も有名なのは、Apache Commons BeanUtilsです。リクエストのパラメータ

触れるのがこわくてずっとGitを避けて来ました。ですが、使わなければならない状況に追い込まれたので初心者ながら少しずつコミットしたりしながらGitの使い方を学んでいたらGitってもしかして楽しいかも!!って思うようになり、もっとGitの事を学びたくて色々勉強出来る資料やサイトを集めていて情報がたまって来たので、ここでまとめていつでも見れるようにしたいと思います。 Gitの仕組みを優しく教えてくれるスライド 素敵なスライドがありましたのでご紹介させていただきます。 うん、見やすい!見やすいよー!! Gitを勉強出来るサイト サルでもわかるGit入門 サルでもわかるGit入門 世界一わかりやすく説明しているサイトです。僕でもわかりました。 Learn Git Branching Learn Git Branching ゲーム感覚で勉強したい時はこちら。このサイト自体がすごい 笑 Gitコマンド

ということで、 #wlstudy でお話ししてきました。 内容としては、jsf-scrumtoys-refactoredをglassfishからweblogicに移植してきたというもの。 ついでに、JavaEE6の技術要素も紹介できたらいいなという感じで。 ※発表に使用したスライドに関しては後日Oracle内にて添削された上で公開していただけるらしいので今はなし。 今回、お話させていただいて思ったのは、実際にJavaを使って開発・保守している方々は思ったよりも昔の仕様(もしくはライブラリ)に基づいてシステム構築を行なっているのではないかということでした。 参加してくださる方々として次のような人たちを想定してスライドを作成しました。 JavaEE5もしくはSpring、Seaserを利用したことがある。 JavaEE6については名前は聞いているけどあまり知らない。 DIについて知っている、も

Resources What is Heroku? Help Customers Careers Events Podcasts Compliance Center Heroku is for Developers CTOs Team Collaboration Startups Enterprises Agencies Students See More Languages Node.js Ruby Java PHP Python Go Scala Clojure See More Latest News from the Heroku Blog Heroku Blog Find out what's new with Heroku on our blog. More news View all blog posts We're very excited to announce offi

Spring BootによるAPIバックエンド構築実践ガイド 第2版 何千人もの開発者が、InfoQのミニブック「Practical Guide to Building an API Back End with Spring Boot」から、Spring Bootを使ったREST API構築の基礎を学んだ。この本では、出版時に新しくリリースされたバージョンである Spring Boot 2 を使用している。しかし、Spring Boot3が最近リリースされ、重要な変...

ヴイエムウェアは、アプリケーション基盤「VMware vFabric」を発表した。Javaのフレームワーク「Spring」を中心にしたミドルウエアスタックであり、異なるクラウド間でアプリケーションのポータビリティを向上させることに役立つ。将来的にはRubyやPHPなど、Java以外の開発言語にも対応する予定。VMworld 2010で同社が発表した6製品のうちの一つである（関連記事）。 vFabricは、(1)Sprigフレームワーク、(2)アプリケーションサーバー「tc Server」、(3)分散データ処理ソフト「GemFire」、(4)メッセージングサービス「RabbitMQ」、(5)ロードバランサー「ERS」、(6)アプリケーションパフォーマンス管理ソフト「Hyperic」などで構成する（写真1）。 tc Serverは、Apache TomcatをSpringとVMware vSp

Sencha Touch Sencha Touch has been merged with Ext JS, which provides developers with everything they need to build data-intensive web apps. Learn More Sencha Touch Has Been Merged with Ext JS Sencha Touch is no longer supported. It’s core functionality for building mobile apps has been merged with Ext JS, which provides everything developers need to build data-intensive, cross-platform web and mo

グーグルとVMwareが、クラウドとオンプレミスのJava互換実行環境を実現。SpringとGWTの統合ツールも提供 グーグルがクラウドでのJava実行環境を提供する「Google App Engine for Java」は、これまでデータベースやJavaライブラリなどの制限から、独自のJavaアプリケーションを開発する必要がありました。 グーグルは5月19日（現地時間）、米サンフランシスコで開発者向けのイベント「Google I/O」でVMwareとの協業を発表。Springフレームワークに対応することで、オンプレミスとクラウドで互換性のあるJava実行環境を実現するとともに、データ構造などを設定するとユーザーインターフェイスまで揃った基本的なアプリケーション（スカッフォルド）まで自動的に生成してくれる統合開発ツールの提供を明らかにしました。 これまでのクラウドでのJavaアプリケーショ

DB操作の“壁”を壊すJPAが起こした「赤壁の戦い」：現場から学ぶWebアプリ開発のトラブルハック（13）（1/2 ページ） 本連載は、現場でのエンジニアの経験から得られた、APサーバをベースとしたWebアプリ開発における注意点やノウハウについて解説するハック集である。現在起きているトラブルの解決や、今後の開発の参考として大いに活用していただきたい。（編集部） O/Rマッピングツールは、上手に使えば開発効率を上げることができる、便利なツールです。しかし、データベース（以下、DB）アクセスを隠ぺいしてしまうため、下手に利用するとトラブルの温床になりかねません。本稿では、Java EE 5で採用された標準のDB永続化APIである「JPA（Java Persistence API）」による“悲劇”をお送りします。 「“トラブルハッカー”は神速を尊ぶ」 プルルル、プルルル、午前2時の深夜、不吉な電

GemStoneの製品をSpringSourceのSpring Frameworkやtc Serverに統合し、PaaS戦略の強化を狙う。 米VMware傘下のPaaS（サービスとしてのプラットフォーム）部門SpringSourceは5月6日（現地時間）、VMwareが分散データ管理およびデータ仮想化ソリューションを提供する米GemStone Systemsを買収することで合意に達したと発表した。買収総額など詳細は公表していない。 GemStone Systemsは、オレゴン州ビーバートンに拠点を置く1982年創業の非公開企業。オブジェクト管理、メモリ仮想化、高速キャッシング技術、分散データ技術を手掛けており、主力製品は分散データキャッシュ基盤を提供する「GemFire Enterprise」。顧客にはJP Morgan Chaseや米国防情報システム局（DISA）など、ミッションクリティ

VMwareは「Open PaaS」戦略によって、SpringフレームワークをベースにしたJava実行環境をクラウドでもオンプレミスでも実現しようとしています。セールスフォース・ドットコムと共同提供する「VMforce」は、その第一弾だったのです。 Javaをクラウドに乗せる「VMforce」、セールスフォースとVMwareが共同提供 － Publickey VMforceとは、Javaを基盤としたPaaS（Platform as a Service）で、VMwareの仮想環境を基にパブリッククラウドを構築、そこにJavaのSpringフレームワークを乗せ、データベースとしてはセールスフォース・ドットコムのForce.comを利用する、というもの。 VMwareはこのVMforceを皮切りに、今後ほかのクラウドでも、そしてオンプレミスでも同様にSpringフレームワークを基盤とするJava